IEC 62443, uitgelegd in engineerstaal.
De IEC 62443-reeks legt vast hoe je industriële cyberbeveiliging specificeert: één normenfamilie die het programma van de fabriekseigenaar, de serviceproviders, de systemen en de componenten omvat, geschreven voor omgevingen waar beschikbaarheid en veiligheid boven alles gaan.
Wat het is
Een familie, geen los document. Uit ISA-99 gegroeid tot een internationale reeks, met delen genummerd naar doelgroep: de 2-x-delen gaan over programma's en providers, 3-x over de systemen, 4-x over de producten. Lees het slim: zoek eerst je rol, dan je delen.
De concepten die het werk doen
Wat het eist
Het startpunt voor een asset owner is de 3-2-risicobeoordeling: baken het systeem af, beoordeel het initiële risico, deel zones en conduits in, stel targets vast, beoordeel in detail, documenteer en keur goed. Zeven stappen, elk met een poort, die eindigen in de Initial Risk Assessment en de Cybersecurity Requirements Specification. Van daaruit vertaalt 3-3 die targets naar systeemeisen, en houden de programmadelen het in stand.
Bekijk de workflow in het product →Uit de praktijk: vijf fouten bij zone-indeling die we blijven zien →Hoe het zich verhoudt tot de wetten
Geen van de wetten noemt je PLC. Ze eisen passende, aantoonbare beveiliging. IEC 62443 is het antwoord van OT daarop: de risicobeoordeling bepaalt wat "passend" is voor jouw installatie, het bewijs maakt het aantoonbaar.
Hoe OTRISK het draait
Vragen die we krijgen.
Kunnen we "IEC 62443-gecertificeerd" worden?
Er bestaan certificeringsprogramma's voor producten en processen, uitgevoerd door certificerende instellingen. Voor de site van een asset owner lever je een conform assessment met het bijbehorende bewijs, en dat is precies waar auditors en klanten om vragen.
IEC 62443 versus ISO 27001?
27001 regelt het managementsysteem; IEC 62443 spreekt OT: zones, veiligheid, security levels. De meeste industriële organisaties komen bij allebei uit, met één bewijsdiscipline eronder.
Moeten we de normen kopen?
Ja. OTRISK verwijst naar clausules; de gelicentieerde tekst blijft in je eigen exemplaren. Budgetteer de delen die jouw rol nodig heeft.
Waar beginnen we?
Met één systeem en de bijbehorende netwerktekening. Het 3-2-assessment bakent de rest af. Daar is het juist voor bedoeld.
Van norm naar akkoord.
Denk aan één installatie. In dertig minuten laten we zien welke onderdelen van OTRISK bij jullie situatie passen en hoe de werkwijze eruitziet. Je vertrekt met concrete vervolgstappen en een prijsindicatie.